Le Soluzioni Tango/04 per adempiere alla normativa sugli amministratori di sistema

Transcript

1 Le Soluzioni Tango/04 per adempiere alla normativa sugli amministratori di sistema

2 Normativa del Garante della privacy sugli amministratori di sistema la normativa: Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema - 27 novembre 2008 (G.U. n. 300 del 24 dicembre 2008) FAQ: proroga 15/12/2009:

3 Architettura tecnica Tango/04

4 Architettura tecnica Tango/04 Suite Privacy

5 Le specifiche della normativa del Garante e Tango/04 Cosa deve intendersi per "amministratore di sistema"? In assenza di definizioni normative e tecniche condivise, nell'ambito del provvedimento del Garante l'amministratore di sistema è assunto quale figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione con cui vengano effettuati trattamenti di dati personali, compresi i sistemi di gestione delle basi di dati, i sistemi software complessi quali i sistemi ERP (Enterprise resource planning) utilizzati in grandi aziende e organizzazioni, le reti locali e gli apparati di sicurezza, nella misura in cui consentano di intervenire sui dati personali. Tango/04 Cosa deve intendersi per "amministratore di sistema"? Un amministratore di sistema può essere un utente definito come amministratore delle proprietà del sistema o un utente a cui vengono assegnati particolari diritti di amministrazione di un qualche applicativo. Qualunque utente può essere considerato un Amministratore a seconda dei diritti che gli vengono assegnati. La nostra soluzione è configurabile per la gestione dinamica degli utenti considerati amministratori del sistema. Nel documento allegato vi sono alcune definizioni di amministratore per progetti di Security Tango/04. Il titolare del trattamento dei dati può dare interpretazioni diverse di amministratore. Tango/04 gestisce la dinamicità delle possibili definizioni. Adobe Acrobat Document

6 Tango/04: gestione degli utenti da monitorare Configurazione dinamica degli utenti da includere o di quelli da escludere dal monitoraggio

7 Le specifiche della normativa del Garante e Tango/04 Relativamente all'obbligo di registrazione degli accessi logici degli AdS, sono compresi anche i sistemi client oltre che quelli server? Si, anche i client, intesi come "postazioni di lavoro informatizzate", sono compresi tra i sistemi per cui devono essere registrati gli accessi degli AdS. Tango/04 Monitoraggio dei sistemi Client. Per Tango/04 gli accessi ad un server di dominio o localmente ad un client sono gestiti allo stesso modo. Un client può essere un dominio locale windows oppure un PC Linux con sistema syslog attivo Tango/04 si interfaccia ai più diffusi protocolli di comunicazione dati in ambito IT. Ogni registrazione client o server che sia è un evento catturabile

8 Le specifiche della normativa del Garante e Tango/04 Cosa si intende per access log (login, log-out, tentativi falliti di accesso, altro?...) [Rif. comma 2, lettera f] Per access log si intende la registrazione degli eventi generati dal sistema di autenticazione informatica all'atto dell'accesso o tentativo di accesso da parte di un amministratore di sistema o all'atto della sua disconnessione nell'ambito di collegamenti interattivi a sistemi di elaborazione o a sistemi software. Gli event records generati dai sistemi di autenticazione contengono usualmente i riferimenti allo "username" utilizzato, alla data e all'ora dell'evento (timestamp), una descrizione dell'evento (sistema di elaborazione o software utilizzato, se si tratti di un evento di log-in, di log-out, o di una condizione di errore, quale linea di comunicazione o dispositivo terminale sia stato utilizzato ). Tango/04 Centralizzazione degli eventi di un qualunque sistema di log Tango/04 utilizza opportuni agenti per la cattura e la centralizzazione degli eventi generati da file access-log di qualunque tipologia: -eventi da Event Log di windows -eventi da Syslog di Unix/Linux e device -eventi da Audit Journal di iseries -eventi da file di log con struttura generica -eventi da tabelle di dati La cattura degli eventi è senza perdita di informazione, l evento originale diventa un evento Tango/04 con tutte le sue caratteristiche originali (raw data)

9 La nostra soluzione per la Normativa sugli amministratori

10 La nostra soluzione per la Normativa sugli amministratori

11 La nostra soluzione per la Normativa sugli amministratori Gestione dell infrastruttura

12 Le specifiche della normativa del Garante e Tango/04 Laddove il file di log contenga informazioni più ampie, va preso tutto il log o solo la riga relativa all'access log? [Rif. comma 2, lettera f] Qualora il sistema di log adottato generi una raccolta dati più ampia, comunque non in contrasto con le disposizioni del Codice e con i principi della protezione dei dati personali, il requisito del provvedimento è certamente soddisfatto. Comunque è sempre possibile effettuare un'estrazione o un filtraggio dei logfiles al fine di selezionare i soli dati pertinenti agli AdS. Tango/04 Gestione dei filtri di lettura eventi Tango/04 reperisce eventi da access-log in modo totale o filtrato. I filtri preimpostati permettono in automatico di scartare gli eventi non necessari. E ulteriormente possibile scartare altri tipi di eventi personalizzando i monitor sull esigenza specifica. Esempio di filtri su eventid di ambienti windows

13 Le specifiche della normativa del Garante e Tango/04 La registrazione degli accessi è relativa al sistema operativo o anche ai DBMS? Tra gli accessi logici a sistemi e archivi elettronici sono comprese le autenticazioni nei confronti dei data base management systems (DBMS), che vanno registrate. Tango/04 Monitoraggio dei DBMS La nostra soluzione integra gli agenti per il controllo ed il reperimento di eventi generati dai più diffusi DBMS. Fornisce inoltre gli agenti generici per potersi interfacciare anche a database non previsti. Repository centralizzato di eventi T04

14 Le specifiche della normativa del Garante e Tango/04 Registrazione degli accessi Devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi; Tango/04 Il repository degli eventi Tango/04 centralizza tutti gli eventi raccolti, normalizzandoli e mantenendo comunque tutte le caratteristiche originali dell evento (completezza). Il repository può essere utilizzato per la generazione automatica di reportistica archiviabile poi su supporti non riscrivibili. Il repository stesso è un database archiviabile su supporti di sola lettura (inalterabilità). Il repository è a sua volta monitorato per la segnalazione di eventuali operazioni non autorizzate di modifica agli eventi collezionati (integrità). Viene utilizzata la tecnica dell hashing code dove ogni evento catturato viene firmato per garantirne o meno l originalità. La nostra soluzione integra in un unico repositiry anche gli eventi provenienti dai moduli iseries di Tango/04, anch essi firmati e controllati.

15 Repository centralizzato di eventi T04 Tango/04: archiviazione degli eventi

16 Tango/04: archiviazione degli eventi Repository centralizzato di eventi T04 istanza 1 DB archiviata istanza 2 DB archiviata istanza N DB archiviata Per richieste di visualizzazione eventi on demand

17 Tango/04: oltre la normativa... Tango/04 Oltre la normativa... I moduli di Tango/04 compresi nella soluzione per la Normativa degli amministratori contengono un set di funzionalità estese, utilizzabili dall azienda. Tango/04: Oltre la normativa... Monitoraggi estesi per i devices, dati su DB, caselle di , file di log, ecc...

18 Tango/04: oltre la normativa... Tango/04: Oltre la normativa... Monitoraggio esteso per il server windows su cui è installato Tango/04

19 Tango/04: oltre la normativa... Tango/04: Oltre la normativa... Console per il controllo in real time degli eventi catturati

20 Tango/04: oltre la normativa... Tango/04: Oltre la normativa... Sistema di notifica per la segnalazione di particolari eventi

21 Tango/04: oltre la normativa... Tango/04: Oltre la normativa... Reportistica avanzata

22 Grazie per l attenzione Contatti Tango/04: tel: marketing@tango04.it